全1433文字
PR

著名なセキュリティーリサーチャーのpiyokango氏が注目のシステムトラブルをピックアップ。今週の注目ネタは……。

 今回は、3件のトピックを取り上げる。スニーカーフリマサービスからの個人情報漏洩、化学工業日報社のランサムウエア感染、FRONTEOの米子会社におけるランサムウエア感染である。

不正なリクエストを遮断するWAFを導入し対処

 スニーカーフリマサービス「SNKRDUNK(スニーカーダンク)」を手掛けるSODAは2022年6月15日、利用者の個人情報が外部に漏洩した可能性があると発表した。漏洩したデータの悪用は発表時点で確認されていないという。

スニーカーフリマサービス「SNKRDUNK」における個人情報漏洩について
スニーカーフリマサービス「SNKRDUNK」における個人情報漏洩について
(出所:SODA)

 漏洩した可能性がある個人情報は、サービスに登録した会員の名前と生年月日、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、口座情報など、275万3400件。このうち約6割は、生年月日とメールアドレス、パスワードのみが流出した可能性があるとしている。また、口座情報が漏洩した可能性があるのは10件のみとした。

 原因は、サービスへの不正なリクエストに対して、データベースのデータを含む応答をしていたからと説明。同社は2022年6月7日に不正アクセスを把握し、個人情報が漏洩した可能性があることが判明した。

 2022年6月10日までにサービスのセキュリティー対策を強化し、一次対応は完了したとしている。具体的には、不正アクセス元を遮断し、特定のURLへの接続後に返すデータにエラー内容を含まないように対処した。同様に、他のURLに対しても応答にエラー内容を含めないようにしたという。加えて、不正なリクエストを遮断するようにWAFを導入した上で、脆弱性診断や監視の強化を行ったとした。

 今後は、外部のセキュリティー専門家の協力を得ながら再発防止策の検討と調査の継続を進めるとしている。同社は2022年6月17日、対象となった会員へのメール連絡は6月15日に完了し、メールで連絡がつかなかった会員には6月17日に電話番号宛てにSMSを送信したことを明らかにした。

(SODAの発表資料)